Trellix hackeada: código-fonte da McAfee+FireEye roubado

Uma das premissas básicas de segurança da informação é que ninguém está imune — inclusive quem vende imunidade. No dia 7 de maio de 2026, o grupo RansomHouse adicionou a Trellix ao seu site de vazamento na dark web, alegando que havia comprometido o repositório de código-fonte da empresa em 17 de abril. A Trellix — criada pela unificação da divisão empresarial da McAfee com a FireEye sob uma única plataforma XDR — protege mais de 50 mil organizações e, segundo a própria empresa, mais de 200 milhões de endpoints no mundo. O produto que deveria ser inviolável foi aberto por dentro.

Quem é a Trellix

Para quem não acompanha o mercado de segurança corporativa: a Trellix surgiu quando a Symphony Technology Group (STG) unificou a divisão empresarial da McAfee com a FireEye e lançou a marca Trellix em 2022. O resultado é uma plataforma XDR (Extended Detection and Response) com clientes em governos, bancos, hospitais e infraestrutura crítica em dezenas de países.

Estar no portfólio da Trellix significa ter agentes instalados em endpoints, acesso a logs de segurança, integrações com firewalls e SIEMs. É o tipo de fornecedor que, se comprometido, pode abrir portas que nenhuma vulnerabilidade isolada conseguiria.

Cronologia do incidente

• 17 de abril de 2026 — Segundo o RansomHouse, o acesso inicial ao repositório de código-fonte ocorreu nesta data.
• 2 de maio de 2026 — A Trellix confirma publicamente que "identificou acesso não autorizado a uma parte de seu repositório de código-fonte" e que já trabalha com especialistas forenses externos. A empresa também notificou as autoridades.
• 7 de maio de 2026 — O RansomHouse lista a Trellix em seu site de vazamento. Screenshots divulgados e analisados pelo Cybernews mostram dashboards internos de VMware, Rubrik e Dell EMC — sugerindo que o acesso foi além do repositório declarado.

A Trellix afirma não ter encontrado evidências de que o código-fonte foi explorado ou que o processo de distribuição de software foi afetado. A investigação segue ativa. Quando o Bleeping Computer perguntou se o incidente reportado pelo RansomHouse e o anunciado pela empresa eram o mesmo evento, um porta-voz disse apenas que estavam "apurando as alegações" — sem confirmar nem negar a ligação.

Quem é o RansomHouse

O RansomHouse opera desde 2021 e é rastreado pela Palo Alto Networks como Jolly Scorpius. O grupo funciona no modelo de dupla extorsão: rouba dados antes de cifrar e ameaça publicar tudo se o resgate não for pago. Para escalar ataques em ambientes corporativos, usa ferramentas próprias:

• MrAgent — automatiza o deployment do ransomware em ambientes VMware ESXi, atacando múltiplas VMs simultaneamente.
• Mario — o encriptador do grupo, que a partir de dezembro de 2025 passou a usar cifração dupla com chaves primária e secundária, segundo documentação da Unit42, tornando a recuperação sem pagamento praticamente inviável.

O vetor de acesso inicial preferido do grupo são vulnerabilidades em produtos expostos à internet: Citrix NetScaler, Palo Alto GlobalProtect e appliances de VPN mal configurados. Se a Trellix não confirmou o vetor específico, esses são os candidatos mais prováveis com base no histórico do grupo.

Por que código-fonte de empresa de segurança importa

Quando o código-fonte de um produto de segurança vaza, o dano potencial vai além do constrangimento corporativo. Com acesso ao código, atacantes podem:

• Mapear pontos cegos: caminhos de detecção não cobertos, formatos de assinatura, exceções hardcoded no motor antivírus.
• Desenvolver malware projetado para evadir especificamente as detecções da Trellix — antes que qualquer patch seja publicado.
• Identificar vulnerabilidades no próprio agente instalado em endpoints de clientes, potencialmente desabilitando a proteção antes de um ataque maior.

A Trellix garante que não há evidência de exploração ativa até agora. Mas "até agora" é a parte que preocupa. O código pode estar sendo analisado silenciosamente, e o impacto real pode aparecer meses depois — exatamente como aconteceu no ataque de supply chain contra o JDownloader em maio de 2026, onde a janela de comprometimento ficou ativa por 48 horas antes de ser detectada.

O que clientes da Trellix devem fazer agora

Se você ou sua organização usa produtos Trellix (ex-McAfee ENS, ex-FireEye Helix, Trellix XDR), as ações recomendadas são:

• Monitorar os comunicados oficiais da Trellix em trellix.com/statement — a empresa prometeu atualizações conforme a investigação avança.
• Revisar logs de EDR em busca de comportamento anômalo do próprio agente: auto-update inesperado, conexões de saída para IPs não usuais, escalada de privilégio.
• Verificar integridade dos binários — comparar hashes dos executáveis instalados com os publicados oficialmente pelo fornecedor.
• Abrir chamado com o suporte pedindo confirmação de integridade dos instaladores distribuídos nas últimas semanas.
• Não desinstalar o agente imediatamente sem ter uma alternativa ativa: isso cria uma janela de proteção zero que pode ser pior do que o risco atual.

Para organizações que ainda dependem de uma única camada de defesa, este caso reforça por que controle de DNS criptografado e segmentação de rede funcionam como camadas complementares mesmo quando o EDR principal falha ou é comprometido.

A lição que o mercado ainda não aprendeu

O incidente da Trellix não é o primeiro nem será o último envolvendo um fornecedor de segurança como alvo. SolarWinds em 2020, Kaseya em 2021, e agora Trellix em 2026 — todos seguem o mesmo padrão: comprometer o elo de confiança da cadeia de fornecimento, o fornecedor que tem acesso amplo ao ambiente alvo. O mesmo modelo explorado pelo ShinyHunters contra a Instructure em abril de 2026 também começa por um fornecedor de infraestrutura crítica.

A pergunta que toda equipe de segurança deveria responder hoje: se um dos nossos fornecedores de segurança fosse comprometido, quanto tempo levaria para detectarmos? Se a resposta for "não sei" ou "semanas", o problema não é o RansomHouse — é o modelo de confiança implícita em terceiros com acesso privilegiado ao seu ambiente. Revise isso antes que alguém faça essa revisão por você.